2024 數(shù)據(jù)合規(guī)審計(jì) 指南

4.4充分性 8.4數(shù)據(jù)相關(guān)行為 8.5應(yīng)用系統(tǒng)和工具平臺(tái) 8.6數(shù)據(jù)合規(guī)管理 9.4審計(jì)報(bào)告 引言《數(shù)據(jù)合規(guī)管理體系要求》（T/CITIF001-2022）基于我國(guó)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)計(jì)人員提供執(zhí)行標(biāo)準(zhǔn)，同時(shí)為數(shù)據(jù)合規(guī)審計(jì)報(bào)告《中國(guó)注冊(cè)會(huì)計(jì)師其他鑒證業(yè)務(wù)準(zhǔn)則第3101號(hào)－歷史財(cái)務(wù)信息審計(jì)1數(shù)據(jù)合規(guī)審計(jì)指南機(jī)構(gòu)開(kāi)展與數(shù)據(jù)安全、數(shù)據(jù)流通和交易相關(guān)的合規(guī)審計(jì)GB/T9387.2-1995信息處理系統(tǒng)開(kāi)放系統(tǒng)互連基本參考模型第2部分：安全體系結(jié)構(gòu)GB/T18794.1-2002信息技術(shù)開(kāi)放系統(tǒng)互連開(kāi)放系統(tǒng)安全框架第1部分：概述GB/T18794.7-2003信息技術(shù)開(kāi)放系統(tǒng)互連開(kāi)放系統(tǒng)安全框架第7部分：安全審計(jì)和報(bào)警框架GB/T20945-2013信息安全技術(shù)信息系統(tǒng)安全審計(jì)產(chǎn)品技術(shù)要求和測(cè)試評(píng)價(jià)GB/T25068.1-2020信息技術(shù)安全技術(shù)網(wǎng)絡(luò)安全第1GB/T34960.4-2017信息技術(shù)服務(wù)治理第4部分：審計(jì)GB/T35273-2020信息安全技術(shù)個(gè)人信息安GB/T36073-2018數(shù)據(jù)管理能力成熟度評(píng)估GB/T37964-2019信息安全技術(shù)個(gè)人信息去標(biāo)識(shí)GB/T37973-2019信息安全技術(shù)大數(shù)據(jù)安全管GB/T39412-2020信息安全技術(shù)代碼安全審GB/T40685-2021信息技術(shù)服務(wù)數(shù)據(jù)資產(chǎn)管GB/Z41290-2022信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)安全審計(jì)T/CITIF001-2022數(shù)據(jù)合規(guī)管理體系要求3.1數(shù)據(jù)合規(guī)審計(jì)datacomplianc審計(jì)機(jī)構(gòu)根據(jù)商定的法律法規(guī)要求，對(duì)被審計(jì)單位數(shù)據(jù)合規(guī)義務(wù)履行情況進(jìn)行的審查和評(píng)價(jià)的監(jiān)3.2相關(guān)部門、數(shù)據(jù)治理活動(dòng)、涉及數(shù)據(jù)的經(jīng)濟(jì)活動(dòng)、數(shù)據(jù)資源與相關(guān)數(shù)據(jù)處理活動(dòng)等。3.33.423.53.6數(shù)據(jù)合規(guī)審計(jì)中根據(jù)審計(jì)目標(biāo)和目的確認(rèn)的被審計(jì)單位擁有的數(shù)3.73.84基本原則開(kāi)展審計(jì)工作的機(jī)構(gòu)、人員未參與被審計(jì)單位注：外部機(jī)構(gòu)可為被審計(jì)單位提供管理咨詢、合規(guī)管理審閱等咨詢服務(wù)，但提供咨詢服務(wù)的外部機(jī)構(gòu)在1年內(nèi)不應(yīng)4.2專業(yè)性4.3合法性4,4充分性3根據(jù)審計(jì)主體和審計(jì)方式的不同，數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目分為以下幾種基本計(jì)內(nèi)容的全面性，評(píng)價(jià)合規(guī)管理活動(dòng)在設(shè)計(jì)、運(yùn)行等方面的有示例：企業(yè)數(shù)據(jù)安全合規(guī)專項(xiàng)審計(jì)、電子商務(wù)企業(yè)個(gè)人信息合47.2審計(jì)主體a)起草數(shù)據(jù)合規(guī)審計(jì)的章程、制度、準(zhǔn)則和流程；b)制定數(shù)據(jù)合規(guī)審計(jì)的中長(zhǎng)期規(guī)劃；d)按數(shù)據(jù)合規(guī)審計(jì)規(guī)章制度、計(jì)劃等的要求開(kāi)展數(shù)據(jù)合規(guī)審計(jì)業(yè)務(wù)，并保證審計(jì)質(zhì)量；f)確保能直接與治理層進(jìn)行溝通及匯報(bào)；a)進(jìn)行獨(dú)立性、客觀性評(píng)價(jià)；b)進(jìn)行服務(wù)結(jié)果評(píng)價(jià)和利用。2)針對(duì)同一性質(zhì)的問(wèn)題，在定性、援引5c)具備數(shù)據(jù)合規(guī)風(fēng)險(xiǎn)評(píng)估的專業(yè)知識(shí)和技d)掌握審計(jì)、標(biāo)準(zhǔn)化、財(cái)務(wù)及管理等通用知識(shí)和技能；e)應(yīng)具備至少三年的數(shù)據(jù)合規(guī)審計(jì)相關(guān)的工作經(jīng)驗(yàn)，能夠熟練運(yùn)用數(shù)據(jù)合規(guī)審計(jì)相關(guān)的軟件和f)擁有與數(shù)據(jù)合規(guī)審計(jì)工作相關(guān)的基本技能、專業(yè)技能和軟技能；g)擁有與所處管理或業(yè)務(wù)崗位相適應(yīng)的數(shù)據(jù)合規(guī)職業(yè)資格及經(jīng)驗(yàn)；h)對(duì)被審計(jì)單位所處行業(yè)有充分認(rèn)知，具a)遵循《中國(guó)注冊(cè)會(huì)計(jì)師其他鑒證業(yè)務(wù)準(zhǔn)則第b)充分利用外部專家的專業(yè)知識(shí)和技能，準(zhǔn)確理解和評(píng)價(jià)數(shù)據(jù)合規(guī)義務(wù)是否得到履行；c)考慮到數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目對(duì)數(shù)據(jù)安全的特別要求，確保專家遵守與審計(jì)人員相同的要求；d)審計(jì)人員利用專家的工作，并不能免a)明確審計(jì)人員在數(shù)據(jù)合規(guī)審計(jì)過(guò)程中的角色和職責(zé)；審計(jì)機(jī)構(gòu)應(yīng)與被審計(jì)單位共同建立數(shù)據(jù)合規(guī)審計(jì)溝通機(jī)制，并通過(guò)以下活動(dòng)保障審計(jì)工作開(kāi)展過(guò)a)確保數(shù)據(jù)合規(guī)審計(jì)機(jī)構(gòu)的獨(dú)立性和追責(zé)制；b)明確數(shù)據(jù)合規(guī)審計(jì)機(jī)構(gòu)與其他部門之間的溝通方式；審計(jì)機(jī)構(gòu)應(yīng)建立數(shù)據(jù)合規(guī)審計(jì)監(jiān)督機(jī)制，并通b)制定數(shù)據(jù)合規(guī)審計(jì)績(jī)效考核制度；6審計(jì)機(jī)構(gòu)應(yīng)建立數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目的風(fēng)險(xiǎn)管理機(jī)制，并通過(guò)以下活動(dòng)規(guī)避審計(jì)工作開(kāi)展過(guò)程中出數(shù)據(jù)合規(guī)審計(jì)項(xiàng)目的總體目標(biāo)是鑒證被審計(jì)單位數(shù)據(jù)合規(guī)義務(wù)履行情況。審計(jì)人員應(yīng)根據(jù)每個(gè)項(xiàng)d)責(zé)任追究：通過(guò)審計(jì)跟蹤，建立適配進(jìn)行測(cè)試和檢查，識(shí)別和規(guī)避數(shù)據(jù)合規(guī)風(fēng)險(xiǎn)，排查數(shù)f)合同，包括被審計(jì)單位與其他相關(guān)方簽訂的合同等；（如離線數(shù)據(jù)）、線下（如打印的獨(dú)立數(shù)據(jù)表）等環(huán)境的數(shù)據(jù)治理、授權(quán)和認(rèn)證管理、關(guān)鍵人員管理等行為操7e)技術(shù)合規(guī)：在電子環(huán)境中應(yīng)用的技術(shù)、數(shù)據(jù)可用性等要求。7.7風(fēng)險(xiǎn)分析依賴于審計(jì)人員是否采取合理的審計(jì)方法及規(guī)范執(zhí)行審計(jì)依賴于對(duì)固有風(fēng)險(xiǎn)和控制風(fēng)險(xiǎn)的評(píng)估，取決于管理層風(fēng)險(xiǎn)a)被審計(jì)單位的數(shù)據(jù)環(huán)境滿足安全可信要求時(shí)，審計(jì)人員在測(cè)試并確認(rèn)相關(guān)的安全措施運(yùn)行有效后，可針對(duì)獲取的各種電子化的、手工的審計(jì)證據(jù)執(zhí)c)審計(jì)人員宜基于信息安全管理框架，獨(dú)a)被審計(jì)單位的數(shù)據(jù)管理能力成熟度高于DCMM3級(jí)時(shí)，審計(jì)人員可信賴被審計(jì)單位數(shù)據(jù)合規(guī)管人員的管理流程中風(fēng)險(xiǎn)應(yīng)對(duì)措施的設(shè)計(jì)和執(zhí)行有效性實(shí)施審計(jì)工c)被審計(jì)單位數(shù)據(jù)管理能力成熟度為2級(jí)或以下級(jí)別時(shí)，審計(jì)人員需要針對(duì)被審計(jì)d)當(dāng)被審計(jì)單位的數(shù)據(jù)合規(guī)管理從體系設(shè)計(jì)到管理流程存在重大缺陷時(shí)，審計(jì)人員需認(rèn)真考慮8），注：實(shí)質(zhì)性測(cè)試的有效執(zhí)行是滿足合理保證鑒證項(xiàng)目的必備條件，否d)審計(jì)工作要求，包括項(xiàng)目審計(jì)進(jìn)度安排、審計(jì)主體內(nèi)部重要管理事項(xiàng)及職責(zé)分工等。9d)穿行測(cè)試技術(shù)：追蹤數(shù)據(jù)流通交易從發(fā)生到終結(jié)，被反映在財(cái)務(wù)報(bào)表中的整個(gè)處理過(guò)程；3)對(duì)上述工具的信賴，不能取代審計(jì)人員的獨(dú)7.9審計(jì)證據(jù)a)《中國(guó)注冊(cè)會(huì)計(jì)師其他鑒證業(yè)務(wù)準(zhǔn)則第3101號(hào)－歷史財(cái)務(wù)信息審計(jì)或?qū)廲)根據(jù)審計(jì)技術(shù)方法，可選擇傳統(tǒng)審計(jì)、數(shù)據(jù)式審計(jì)等取證模式。a)審計(jì)結(jié)果應(yīng)記錄測(cè)試過(guò)程中發(fā)現(xiàn)的異?；蚶馇闆r的完整信息；c)當(dāng)一項(xiàng)測(cè)試的結(jié)果不能充分滿足上述b)項(xiàng)分析要求時(shí)